OCSP Stapling 是否生效需在弱网下实测：用 openssl s_client -connect example.com:443 -status -servername example.com 检查输出含“OCSP response: successful (0x0)”和“CertStatus: good”，并配合 tc 注入延迟验证是否稳定节省150–300ms；同时确认 Nginx 配置了 resolver_timeout 5s 且 DNS 解析稳定，日志无“no resolver defined”或“resolver timeout”报错。
直接用 openssl s_client 搭配人工模拟弱网条件，是最贴近真实场景的测试方式。OCSP Stapling 的核心价值正是在 DNS 慢、RTT 高、连接不稳定时跳过客户端自主查询，所以不能只看“是否启用”，而要看“在差网络下是否真省掉了那一次请求”。
用 OpenSSL 模拟高延迟握手并抓取 OCSP 行为
标准命令本身不体现网络耗时，需配合工具强制引入延迟：
- 在目标服务器上运行：
openssl s_client -connect example.com:443 -status -servername example.com -tlsextdebug 2>&1 | grep -A5 "OCSP response"
确认输出含 OCSP response: successful (0x0) 和 CertStatus: good - 用
tc（Traffic Control）在本地或测试机上注入延迟：sudo tc qdisc add dev eth0 root netem delay 300ms 50ms
这会让所有出向请求增加平均 300ms、抖动 ±50ms 的延迟，模拟弱 4G 或跨境链路 - 再执行上述 openssl 命令，观察总耗时是否稳定在 比无 stapling 场景低 150–300ms；若差异消失或波动剧烈，说明 stapling 未生效或 resolver 超时卡住
验证 resolver 是否扛得住高延迟 DNS 查询
OCSP Stapling 依赖 Nginx 自行解析 OCSP URI 对应的域名（如 ocsp.int-x3.letsencrypt.org），DNS 不稳会导致 stapling 回退到关闭状态：
- 检查配置中是否设置了 resolver_timeout 5s —— 缺失此项时，默认超时可能长达 30 秒，会拖垮整个 TLS 握手
- 手动测试 DNS 解析稳定性：
for i in {1..10}; do time dig +short ocsp.int-x3.letsencrypt.org @1.1.1.1; done
观察是否有超时或响应时间 >2s 的情况；若有，换用更可靠的 DNS（如223.5.5.5或自建 local DNS） - Nginx 日志中搜索
stapling关键字：grep -i stapling /var/log/nginx/error.log
出现 "no resolver defined to resolve" 或 "resolver timeout" 即表示 DNS 环节失败
对比移动端弱网下的真实 TLS 时间分解
服务端日志无法反映客户端感知延迟，需借助真实终端抓包：
- 用 iOS 或 Android 设备连接同一 Wi-Fi，开启飞行模式后仅打开蜂窝数据，或使用 Network Link Conditioner（macOS）/ Android Network Profiler 设置 3G / LTE Slow 档位
- 用 Chrome DevTools 的 Security → View certificate → Certificate Transparency 查看证书详情页底部的 OCSP Response 字段是否显示 Status: Good 且无“checking…”字样
- 用 WebPageTest（选择“Mobile 3G”预设）跑 HTTPS 页面加载，重点关注 SSL Setup Time 指标：开启 stapling 后该值应下降明显，尤其在首次访问（无会话复用）时
排除干扰：确保测试的是“首次握手”而非复用会话
OCSP 只参与完整 TLS 握手（full handshake），会话复用（session resumption）会跳过证书校验环节，掩盖 stapling 效果：
- 测试前清空浏览器 TLS 会话缓存（Chrome 中访问
chrome://net-internals/#sockets→ “Flush socket pools”） - Nginx 配置中临时注释掉
ssl_session_cache和ssl_session_tickets off，强制每次走完整握手 - 用
openssl s_client -reconnect多次连接，观察每次-status输出是否都稳定返回 OCSP 响应 —— 若只有第一次成功，后续失败，说明 stapling 缓存未持久或 OCSP 响应已过期
